gobernanza de la información

La gestión de registros se ocupa de la creación, retención, almacenamiento y disposición de los mismos. Un registro puede ser un objeto físico y tangible, o información digital como una base de datos, datos de aplicaciones y correos electrónicos. Históricamente, el ciclo de vida se consideraba desde la creación hasta la eliminación final de un registro. Con el auge de la generación de datos en las últimas décadas y el aumento de las regulaciones y los problemas de cumplimiento, la gestión tradicional de registros no logró mantenerse al día. Se hizo necesaria una plataforma más completa para la gestión de registros e información que abarcara todas las fases del ciclo de vida, lo que dio lugar al surgimiento de la gobernanza de la información. ^{[ 5 ]}

En 2003, el Departamento de Salud de Inglaterra introdujo el concepto de gobernanza de la información de base amplia en el Servicio Nacional de Salud (NHS), publicando la versión 1 de una herramienta de evaluación del desempeño en línea con guías de apoyo. El NHS IG Toolkit ^{[ 6 ]} es utilizado actualmente por más de 30 000 organizaciones del NHS y asociadas, con el apoyo de una plataforma de aprendizaje electrónico con unos 650 000 usuarios. En 2010, Logan y Lomas abordaron el tema de la gobernanza de la información de forma más integral, publicando sobre cómo diferentes disciplinas debían colaborar para gestionar mejor la información. Lomas impartió formación en este ámbito, y Smallwood posteriormente publicó un libro de texto clave sobre el tema.

Profesionalmente, en este contexto, en 2008, ARMA International introdujo los Principios de Gestión de Registros Generalmente Aceptados®, o «Los Principios», y en 2015 el subsiguiente Modelo de Madurez de la Gobernanza de la Información «Los Principios». ^{[ 7 ]} «Los Principios» identifican las características esenciales de la gobernanza de la información. Por lo tanto, se aplican a organizaciones de todos los tamaños, en todo tipo de industrias y tanto en el sector público como en el privado. Las organizaciones multinacionales también pueden utilizar «Los Principios» para establecer prácticas coherentes en diversas unidades de negocio. ARMA International reconoció que una declaración clara de los «Principios de Gestión de Registros Generalmente Aceptados®» («Los Principios») serviría de guía para:

• Los directores ejecutivos deben determinar cómo proteger a sus organizaciones en el uso de los activos de información;
• Los legisladores al elaborar leyes destinadas a responsabilizar a las organizaciones; y
• Asesoramos a profesionales de la gestión documental en el diseño de programas de gestión documental integrales y eficaces.

La gobernanza de la información va más allá de la retención y la disposición, e incluye la privacidad, los controles de acceso y otras cuestiones de cumplimiento normativo. En el descubrimiento electrónico, los abogados buscan datos relevantes en forma de información almacenada electrónicamente y los retienen legalmente . La gobernanza de la información considera cómo se almacenan y controlan estos datos para el descubrimiento electrónico, y también proporciona una plataforma para una disposición y un cumplimiento normativo justificables. Además, los metadatos suelen acompañar a los datos almacenados electrónicamente y pueden ser de gran valor para la empresa si se almacenan y gestionan correctamente.

Con todas estas consideraciones adicionales que van más allá de la gestión documental tradicional, IG surgió como una plataforma para que las organizaciones definan políticas a nivel empresarial, abarcando múltiples jurisdicciones. Además, IG permite la aplicación de estas políticas en los diversos repositorios de información, datos y registros.

Una coalición de organizaciones conocida como Electronic Discovery Reference Model (EDRM), fundada en 2005 para abordar cuestiones relacionadas con el descubrimiento electrónico y la gobernanza de la información, desarrolló posteriormente, como uno de sus proyectos, un recurso llamado Information Governance Reference Model (IGRM). ^{[ 8 ]} En 2011, EDRM, en colaboración con ARMA International, publicó un libro blanco que describe cómo el Information Governance Reference Model (IGRM) complementa los Principios de Registro Generalmente Aceptados de ARMA International ("Los Principios"). ^{[ 9 ]} El IGRM ilustra la relación entre las partes interesadas clave y el ciclo de vida de la información y destaca la transparencia necesaria para permitir una gobernanza eficaz. Actualización de IGRM v3.0: Responsables de Privacidad y Seguridad como Partes Interesadas. ^{[ 10 ]}

En 2012, el Consejo de Cumplimiento, Gobernanza y Supervisión (CGOC) desarrolló el Modelo de Madurez del Proceso de Gobernanza de la Información (IGPMM). ^{[ 11 ]} El modelo describe 13 procesos clave en el descubrimiento electrónico (e-discovery) y la gestión de la información . Cada proceso se describe en términos de un nivel de madurez del uno al cuatro, desde completamente manual y ad hoc hasta mayores grados de integración de procesos entre funciones y automatización. ^{[ 12 ]} En 2017, se actualizó para incluir un énfasis en cuestiones legales, de privacidad, seguridad de la información, seguridad en la nube ^{[ 13 ]} y preocupaciones cambiantes sobre la privacidad de los datos, incluido el impacto del Reglamento General de Protección de Datos (RGPD) (UE) . ^{[ 11 ]}

En el pasado, los gestores de registros eran los responsables de la gestión de registros, quizás dentro de un departamento de cumplimiento normativo en una empresa. Para abordar los problemas más amplios relacionados con la gestión de registros, es necesario involucrar a otras partes interesadas clave. Los departamentos de Asuntos Legales, Informática y Cumplimiento Normativo suelen ser los que más se relacionan con la gobernanza de la información, aunque sin duda otros departamentos podrían solicitar representación. Muchas empresas crean comités de gobernanza de la información para garantizar que todos los interesados ​​necesarios estén representados y que se aborden todos los problemas relevantes. ^{[ 14 ]}

En regiones fuera de los marcos de gobernanza occidentales tradicionales, las obligaciones de gobernanza de la información se han configurado mediante instrumentos regulatorios distintos. En Sudáfrica, por ejemplo, la Ley de Protección de la Información Personal (POPIA) de 2013 introdujo requisitos de gobernanza de datos que se cruzan con estándares internacionales como ISO/IEC 27001 y el Reglamento General de Protección de Datos (RGPD), lo que obliga a las organizaciones a gestionar múltiples obligaciones de cumplimiento simultáneas en diferentes jurisdicciones. ^{[ 15 ]} Este desafío de gobernanza multijurisdiccional refleja una característica estructural más amplia de la gobernanza de la información contemporánea, en la que las organizaciones operan cada vez más bajo regímenes regulatorios superpuestos que requieren enfoques de cumplimiento coordinados en lugar de paralelos. ^{[ 16 ]}

En décadas pasadas, las responsabilidades de gobernanza de la información podían recaer en el director de sistemas de información (CIO). Sin embargo, en algún momento, la descripción del puesto de CIO cambió para centrarse exclusivamente en los sistemas de información y la tecnología asociada que impulsan una empresa, y no en la información en sí misma.

En la era actual del big data , las organizaciones controlan más información que nunca. ^{[ 17 ]} Para extraer el máximo valor de esos datos y, al mismo tiempo, proteger a la organización de los riesgos asociados, los líderes empresariales han recurrido al CIGO debido a la independencia de este rol respecto de otros departamentos. Los CIGO tienen la tarea de equilibrar de manera neutral las necesidades de todos los departamentos con respecto a las principales prioridades de la organización. ^{[ 18 ]}

Aunque se trata de una posición emergente, el apoyo a la CIGO sigue en aumento a medida que los líderes empresariales comprenden cada vez más las implicaciones de la gobernanza de la información (y, más importante aún, su ausencia). Si bien muchas organizaciones cuentan con proyectos de gobernanza de la información, es mucho más probable que estas iniciativas tengan éxito con una gestión descendente. ^{[ 19 ]}

Dado que el puesto de CIGO es relativamente nuevo, sus responsabilidades no están definidas de forma definitiva y continúan evolucionando. En general, los CIGO actuales:

• Gestionar toda la información de una organización, extrayendo el máximo valor posible de ella (por ejemplo, un marketing mejor segmentado) y reduciendo al mismo tiempo la exposición a los riesgos asociados (por ejemplo, demandas judiciales).
• Coordinar los esfuerzos de gobernanza de la información entre todas las partes interesadas dentro de una organización.
• Priorizar las necesidades de información de todos los departamentos.
• Defender esas necesidades en nombre de las partes interesadas pertinentes.
• Colaborar con las distintas facetas de la gobernanza de la información para mejorar continuamente los procesos.
• Identificar y ejecutar sinergias relacionadas con la información.
• Eliminar datos no críticos

• La Ley de Cumplimiento Tributario de Cuentas Extranjeras , o FATCA ^{[ 25 ]}
• Estándar de seguridad de datos de la industria de tarjetas de pago , o cumplimiento de PCI ^{[ 26 ]}
• Ley de Portabilidad y Responsabilidad del Seguro Médico , o HIPAA ^{[ 27 ]}
• Ley de Modernización de los Servicios Financieros de 1999, o Ley Gramm-Leach-Bliley (GLBA) ^{[ 28 ]}
• Ley Sarbanes-Oxley de 2002, o Sarbox o SOX ^{[ 29 ]}
• Reglas Federales de Procedimiento Civil
• Ley de Privacidad del Consumidor de California , o CCPA ^{[ 30 ]}
• Regla de protección de la privacidad en línea de los niños (COPPA) ^{[ 31 ]}

• Reglamento General de Protección de Datos
• Directiva NIS

• Ley de Protección de Datos de 2018
• El Reglamento General de Protección de Datos (RGPD) se incorporará directamente a la legislación nacional inmediatamente después de que el Reino Unido abandone la Unión Europea.
• Reglamento NIS - La Directiva NIS de la UE fue transpuesta al derecho británico por el DCMS en mayo de 2018 mediante el Reglamento NIS. ^{[ 32 ]}

• Nueva normativa ISO sobre gobernanza de la información - ISO 24143